fbpx

40.000 zł dla Burmistrza miasta za nieprzestrzeganie RODO.

Artykuł napisany przez Magda Judejko

Jest Inspektorem ochrony danych osobowych i zajmuje się audytem, wdrożeniem RODO oraz organizacją i przeprowadzaniem szkoleń dla przedsiębiorców w Pharos. Pomaga przedsiębiorcą, start up i ecommerce doradzając, pisząc regulaminy, umowy, wnioski o dofinansowanie. Zajmuje się organizacją eventów i warsztatów (Prawo do Kawy).

3 Lis, 2019

Definicje:

RODO –  (EU GDPR (eng) – European Union General Data Protection Regulation) – regulacja prawna dotycząca ochrony danych osobowych, mająca na celu m.in. zapewnienie swobodnego przepływu danych osobowych pomiędzy państwami członkowskimi oraz ochronę prywatności w świetle rozwoju nowych technologii.

UODO – organ nadzorczy, właściwy do spraw ochrony danych osobowych na terytorium RP.

BIP – Biuletynu Informacji Publicznej – ujednolicony system stron internetowych stworzony w celu powszechnego udostępniania informacji publicznej.  BIP, powinny mieć wdrożone organy władzy publicznej, jednostki samorządu terytorialnego, urzędy, organy samorządów gospodarczych i zawodowych, związki zawodowe i ich organizacje, partie polityczne, sądy i wiele innych podmiotów publicznych.

Ochronę danych osobowych w Polsce od 1997 r. regulowała ustawa, jednakże dopiero w maju 2018 r. wraz z wprowadzeniem w całej UE RODO, wdrożono sankcje w postaci wysokich kar finansowych nakładanych na administratorów danych osobowych. Administratorami danych osobowych są zarówno przedsiębiorcy, jak również jednostki publiczne. 30 października 2019 r. okazało się, że tak samo jak na przedsiębiorców, tak samo na jednostki publiczne mogą zostać nałożone dotkliwe kary, za niestosowanie przepisów o ochronie danych osobowych.

Prezes UODO na stronie https://uodo.gov.pl/pl/138/1240 poinformował, że wymierzył karę w wysokości 40.000 zł Burmistrzowi miasta za:

Brak umowy powierzenia danych osobowych z firmą, która dostarczyła i serwisowała obowiązkowy dla wszystkich jednostek publicznych BIP (naruszenia art. 28 ust. 3 RODO);

Podstawowym problemem związanym z umowami powierzenia, z jakim borykają się administratorzy (tzn. urzędy, przedsiębiorcy, szkoły, szpitale itp.) jest odpowiedź na pytanie, czy umowę o powierzeniu przetwarzania danych osobowych w konkretnej sytuacji należy w ogóle zawrzeć.

Umowa o powierzeniu danych osobowych

to podstawa prawna do powierzenia danych osobowych przez administratora innemu podmiotowi, która służy głównie przy zlecaniu prac/wykonaniu usług firmą zewnętrznym. Administrator określa cel i zakres przetwarzania danych osobowych, a podmiot powierzający działa w imieniu administratora i zapewnia środki techniczne i organizacyjne do zapewnienia bezpiecznego przetwarzania danych osobowych.

PRZYKŁAD: Burmistrz miasta i każda jednostka publiczna ma obowiązek wynikający z przepisów prawa do wdrożenia systemu BIP, dlatego zamawia w firmie programistycznej odpowiednie oprogramowanie. W związku z tym, że w celu wykonania systemu, niezbędne jest przetwarzanie danych osobowych przez firmę programistyczną, Burmistrz jako administrator danych osobowych ma obowiązek podpisać umowę o powierzeniu przetwarzania danych osobowych.

Przykłady powierzenia danych osobowych to również m.in. zewnętrzna obsługa kadrowo-płacowa, archiwizacja dokumentów, ochrona, usługi informatyczne, usługi kurierskie.

Odpowiedzialność za zawarcie umowy i powierzenie przetwarzania danych przez odpowiedni podmiot leży na administratorze. Umowa może zostać zawarta w formie pisemnej, jak również elektronicznej.

UODO wskazuję, że przez brak umowy, Burmistrz nie miał podstawy prawnej do udostępniania danych osobowych, co naruszyło zasadę poufności i zasadę przetwarzania danych zgodnie z prawem.

 Nieprzestrzeganie zasady ograniczonego przechowywania (tzw. retencja danych) w systemie BIP

Zasada ograniczonego przechowywania danych wynikająca z RODO wskazuje, że administrator powinien przechowywać dane osobowe w formie umożliwiającej identyfikację osoby, której dane dotyczą, przez okres nie dłuższy, niż jest to niezbędne do celów, w których dane te są przetwarzane.

W BIP, kontrolerzy UODO znaleźli dokumentacje z 2010 r., która według przepisów powinna zostać usunięta po 6 latach. RODO też wskazuje, że jeżeli przepisy prawa nie regulują okresu przez jaki należy przetwarzać dane, administrator sam ustala adekwatnie do celów przez jaki czas będzie przetwarzał dane osobowe.

Brak kopii zapasowych nagrań

Jako uchybienie Prezes UODO wskazał brak wykonania kopii nagrania z posiedzenia rady miejskiej. Nagranie umieszczono na kanale YT. Ponadto stwierdzono naruszenie zasady poufności i integralności ze wzgledu na brak analizy ryzyka umieszczania materiałów na YT.

Brak współpracy administratora w czasie kontroli

Prezes UODO, zarzucił Burmistrzowi brak współpracy w toku kontroli, co wpłynęło na wymierzenie i wysokość kary. Urzędnicy wskazali podczas kontroli nieprawidłowości, które nie zostały od razu usunięte oraz nie zostały poniesione jakiekolwiek kroki w celu działania zgodnie z przepisami.

Podsumowując, administratorzy danych osobowych bez względu czy działają prywatnie, czy też realizują zadania o charakterze publicznoprawnym, zobowiązani są do stosowania przepisów o ochronie danych osobowych pod groźbą otrzymania kary.

Warto zapamiętać:

  1. Jeżeli zlecasz firmie zewnętrznej/samozatrudnionemu pracę do których niezbędne jest udostępnienie przez Ciebie danych osobowych np. danych pracowników, podpisz umowę o powierzeniu danych osobowych oraz prowadź rejestr powierzenia przetwarzania danych.
  2. Czas przetwarzania danych. W zależności od rodzaju danych, sprawdź czy przepisy określają czas przez który możesz przetwarzać dane, a jeżeli nie samodzielnie określaj czas przetwarzania adekwatnie do celu w jakim dane przetwarzasz.
  3. Wykonuj kopie zapasowe nagrań audiowizualnych.
  4. Współpracuj podczas kontroli i niezwłocznie wprowadzaj rozwiązania, zgodne z wytycznymi i przepisami.

Magda Judejko

Autorami tego postu są

Profil autora
Magda Judejko

Jest Inspektorem ochrony danych osobowych i zajmuje się audytem, wdrożeniem RODO oraz organizacją i przeprowadzaniem szkoleń dla przedsiębiorców w Pharos. Pomaga przedsiębiorcą, start up i ecommerce doradzając, pisząc regulaminy, umowy, wnioski o dofinansowanie.
Zajmuje się organizacją eventów i warsztatów (Prawo do Kawy).

Magda Judejko

Jest Inspektorem ochrony danych osobowych i zajmuje się audytem, wdrożeniem RODO oraz organizacją i przeprowadzaniem szkoleń dla przedsiębiorców w Pharos. Pomaga przedsiębiorcą, start up i ecommerce doradzając, pisząc regulaminy, umowy, wnioski o dofinansowanie. Zajmuje się organizacją eventów i warsztatów (Prawo do Kawy).

Może Ci się spodobać…

0 komentarzy

Funkcja trackback/Funkcja pingback

  1. Kary i upomnienia dla jednostek administracji publicznej. - PHAROS - […] pierwszej karze dla jednostki administracji publicznej pisaliśmy tutaj szerzej kilka miesięcy temu –  dla porządku tylko przypomnimy, iż w…

Wyślij komentarz

Twój adres email nie zostanie opublikowany. Pola, których wypełnienie jest wymagane, są oznaczone symbolem *

 
 

Pharos Michał Zajdowicz

REGON: 300261731
NIP: 7791290942

kontakt@pharos.pl

+48 505 156 508

+48 608674589

Poznań – Siedziba firmy

ul. Św. Michała 43, 61-118 Poznań

Warszawa – Biuro

Plac Inwalidów 10, 01-552 Warszawa

Skontaktuj się z nami

Napisz do nas, odpisujemy lub oddzwaniamy maksymalnie w następnym dniu roboczym! 

To pole jest wymagane
To pole jest wymagane
To pole jest wymagane
Field is required!
To pole jest wymagane
Ta zgoda jest wymagana
Field is required!
Pola oznaczone gwiazdką (*) są polami wymaganymi do przesłania formularza.